Fallübersicht

In einem mit Spannung verfolgten Rechtsstreit um eine Patentverletzung im Bereich Cybersicherheit einigten sich BitSight Technologies, Inc. und NormShield, Inc. (firmierend als Black Kite) im Februar 2025 auf eine einvernehmliche Klageabweisung mit Rechtskraft, womit ein 527-tägiger Rechtsstreit vor dem Bezirksgericht von Massachusetts beendet wurde. Die am 5. September 2023 unter dem Aktenzeichen 1:23-cv-12055 eingereichte Klage drehte sich um fünf US-Patente, die sich auf die Bewertung der IT-Sicherheit, auf dem Verhalten von Organisationen basierende Risikobewertungen und das Sicherheitsrisikomanagement beziehen – Technologien, die das kommerzielle Herzstück des schnell wachsenden Marktes für Cyber-Risikoinformationen von Drittanbietern bilden.

Die Parteien

Streitige Patente

Diese Klage betraf fünf US-Patente im Bereich der Methoden zur Bewertung der Cybersicherheit, die die technologische Kerninfrastruktur von BitSight bilden:

• • US11652834B2 – Sicherheitsbewertung im Bereich der Informationstechnologie
• • US9973524B2 – Auf dem Organisationsverhalten basierende Risikobewertungen
• • US9438615B2 – Verfahren zum Sicherheitsrisikomanagement
• • US10805331B2 – Systeme zur Bewertung der IT-Sicherheit
• • US11777976B2 – Rahmenwerke für das Sicherheitsrisikomanagement

Das Urteil und die rechtliche Analyse

Ergebnis

Das Verfahren endete mit einer einvernehmlichen Vereinbarung über die endgültige Klageabweisung, was bedeutet, dass alle von BitSight und Black Kite geltend gemachten Ansprüche und Gegenansprüche endgültig erloschen sind. Keine der Parteien hat eine Haftung anerkannt. Jede Partei trägt ihre eigenen Anwaltskosten und Auslagen – eine Standardklausel in ausgehandelten Vergleichen, die darauf hindeutet, dass keine der beiden Seiten eine eindeutig überlegene Prozessposition erreicht hat, die einen Antrag auf Kostenübernahme gemäß 35 U.S.C. § 285 rechtfertigen würde.

Es wurde kein Schadenersatz zugesprochen. Es wurde kein Unterlassungsanspruch gewährt. Konkrete finanzielle Vergleichsbedingungen, sofern diese in einer vertraulichen Nebenvereinbarung enthalten sind, wurden in den öffentlich zugänglichen Gerichtsakten nicht offengelegt.

Wichtige rechtliche Fragen

Der formelle Klagegrund wird als Verletzungsklage eingestuft, wobei BitSight geltend macht, dass die Produkte von Black Kite zur Bewertung von Cybersicherheitsrisiken Ansprüche aus allen fünf geltend gemachten Patenten verletzten. Das Vorliegen von Widerklagen – auf die in der Vereinbarung über die Klageabweisung Bezug genommen wird – lässt darauf schließen, dass Black Kite positive Einreden vorgebracht hat, die wahrscheinlich Einwände wegen Nichtigkeit, die Behauptung der Nichtverletzung oder möglicherweise Widerklagen auf Feststellung umfassten.

Dieser Fall unterstreicht mehrere wichtige Entwicklungen bei Patentstreitigkeiten im Bereich der Cybersicherheit:

• • Umfang der Ansprüche in Algorithmuspatenten: Patente, die sich auf Verhaltensanalysen und Methoden zur Risikobewertung beziehen, sind naturgemäß mit einer komplexen Auslegung der Ansprüche verbunden. Die Abgrenzung von softwaregestützten Ansprüchen im Bereich der Cybersicherheit – insbesondere hinsichtlich der Frage, was ein „Bewertungssystem“ oder eine Methode zur „Risikobewertung“ ausmacht – führt häufig zu Rechtsunsicherheit, die Anreize für einen Vergleich schafft.
• • Strategien zur Durchsetzung mehrerer Patente: Die gleichzeitige Geltendmachung von fünf Patenten durch BitSight spiegelt einen Ansatz zur Durchsetzung des Patentportfolios wider, der darauf abzielt, den Schutzumfang zu maximieren und Strategien zur Ungültigkeitserklärung zu erschweren. Die Führung von fünf laufenden Patentstreitigkeiten durch die Beweisaufnahme und die Auslegung von Patentansprüchen ist jedoch ressourcenintensiv, was im Laufe der Zeit zu einem beidseitigen Druck auf einen Vergleich führt.
• • Keine Haftungsanerkennung: In der Klausel wird ausdrücklich festgelegt, dass es sich „nicht um eine Anerkennung der Haftung einer der Parteien“ handelt, wodurch die Reputation und die Wettbewerbsposition beider Parteien gewahrt bleiben – eine entscheidende Bestimmung für Unternehmen, die in vertrauenssensiblen Cybersicherheitsmärkten tätig sind.